Files

vitya fc245c23c7 fix(nl-vds-3xui): apply Reality dest fix + rotate creds (server-side done)

Per user "и то и другое":
- Reality 443 dest www.intel.com -> www.microsoft.com (x-ui.db + restart),
  verified end-to-end tunnel through real :443 (SNI microsoft) -> HTTP 204.
  ML-DSA-65 kept. Plain VLESS 32030 unaffected (xray restarted, listening).
- Rotated leaked creds: root SSH password, panel username+password (bcrypt),
  panel JWT secret (kills install API token + sessions). New creds in
  pass nl-vds-3xui/full-env; old SSH pass now rejected; db backed up on server.
- Remaining client-side: user sets v2rayN profile pqmkayaxo2 SNI -> microsoft.

Task fix-nl-vds-reality-pq-dest -> 🟡 (awaiting client-side + confirm).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

2026-06-05 11:45:44 +03:00

3.2 KiB

Raw Blame History

fix-nl-vds-reality-pq-dest

Status: 🟡 server-side done 2026-06-05 — awaiting client-side SNI change + user confirm Created: 2026-06-05

Проблема

Reality-инбаунд на 443 (NL VDS 213.176.64.253, 3x-UI) не коннектится. Root cause доказан: ML-DSA-65 (post-quantum REALITY) × dest/SNI www.intel.com (Akamai, не поддерживает PQ key-exchange X25519MLKEM768 → HelloRetryRequest → borrowed-TLS handshake REALITY не достраивается). Plain VLESS на 32030 работает (там security: none). Полный разбор + изоляционная матрица: .wiki/concepts/reality-pq-mldsa65-dest-incompatibility.md; узел: .wiki/entities/nl-vds-3xui.md.

Fix (рекомендация — НЕ применён, ждёт команды)

Сменить www.intel.com → www.microsoft.com (PQ-совместим, проверен 2026-06-05), симметрично:

Сервер, инбаунд 443: realitySettings.target → www.microsoft.com:443, serverNames → ["www.microsoft.com"].
Клиент v2rayN, профиль pqmkayaxo2: SNI → www.microsoft.com.

Менять через панель 3x-UI (Inbounds → edit) ИЛИ правкой x-ui.db + reload xray. Активное соединение на 32030 это не заденет. Альтернатива (проще, но теряем PQ): выключить ML-DSA-65 на инбаунде, оставить intel.

Acceptance

v2rayN профиль pqmkayaxo2 (Reality 443) подключается, трафик идёт.
Plain VLESS 32030 продолжает работать.

Done 2026-06-05 (server-side, по команде user "и то и другое")

✅ Reality dest www.intel.com:443→www.microsoft.com:443 + serverNames→["www.microsoft.com"] (правка x-ui.db id=1 + x-ui restart). Проверено сквозным тоннелем (temp-клиент → реальный :443, SNI microsoft, uuid 5da48418+vision+mldsa65Verify) → HTTP 204. 32030 жив.
✅ Креды ротированы (оригиналы были в плейнтексте): root SSH pass (новый работает, старый Access denied), panel username+password (CLI x-ui setting, bcrypt в БД), panel secret JWT (убил install API token/сессии). Всё в pass nl-vds-3xui/full-env. БД-бэкап /root/x-ui.db.bak.20260605_083658.

⏳ Остаётся (client-side, делает user)

В v2rayN профиль pqmkayaxo2: SNI www.intel.com → www.microsoft.com, save, переподключиться → должно подняться. (Не правил guiNDB.db: v2rayN держит активное соединение.) После подтверждения — закрыть таску 🟢.

Where I stopped

Server-side fix + ротация применены и проверены. Жду от user: смену SNI в v2rayN + подтверждение, что профиль Reality поднялся.

3.2 KiB Raw Blame History Unescape Escape